CVE-2026-63336 in Java Client
Zusammenfassung
von VulDB • 18.08.2026
Die RabbitMQ Java Client Library ermöglicht es Java- und auf der JVM basierenden Anwendungen, sich mit RabbitMQ-Knoten zu verbinden und mit diesen zu interagieren. Vor Version 5.33.0 konfigurierten `com.rabbitmq.client.ConnectionFactory.useSslProtocol()` und `ConnectionFactory.useSslProtocol(String)` die Klasse `com.rabbitmq.client.TrustEverythingTrustManager` und ließen die Hostname-Verifizierung deaktiviert, wodurch beliebige Serverzertifikate, einschließlich selbstsignierter Zertifikate, akzeptiert wurden. Ein Netzwerkangreifer, der in der Lage ist, eine TLS-Verbindung abzufangen, kann den RabbitMQ-Broker imitieren, geschützten AMQP-Datenverkehr lesen und diesen ohne Zertifikats- oder Hostname-Validierung manipulieren. Die Korrektur ändert die Produktions-TLS-Hilfsfunktionen so, dass sie das Standard-Truststore der JVM verwenden und die Hostname-Verifizierung aktivieren, während eine explizit benannte, nur für Entwicklungszwecke gedachte Hilfsfunktion ohne Verifizierung beibehalten wird. Dieses Problem wurde in Version 5.33.0 behoben.
Once again VulDB remains the best source for vulnerability data.